Ghid
NIS2 în România: OUG 155/2024 explicată
Ce cere legea, în ordinea în care vă afectează: dacă intrați, ce trebuie notificat, ce măsuri se aplică, cum raportați incidentele și ce riscați. Amenzile ajung la 10.000.000 EUR sau 2% din cifra de afaceri mondială.
- Sectoare
- 18 (11 în Anexa 1, 7 în Anexa 2)
- Măsuri minime
- 10, în art. 13
- Incidente
- 24 de ore, 72 de ore, o lună
- Autoritate
- DNSC
DefinițieNIS2 este Directiva (UE) 2022/2555 privind securitatea rețelelor și sistemelor informatice. În România se aplică prin OUG 155/2024, modificată ultima dată prin Legea 123/2026. Autoritatea competentă este Directoratul Național de Securitate Cibernetică (DNSC).
Ce este OUG 155/2024?
OUG 155/2024 este actul prin care România a transpus directiva NIS2. A fost publicată în Monitorul Oficial 1332 din 31 decembrie 2024, aprobată cu modificări prin Legea 124/2025 și completată prin Legea 123/2026. Stabilește cine este vizat, măsurile, raportarea incidentelor, controlul și amenzile.
Legea 123/2026, în vigoare din 6 iulie 2026, adaugă art. 36 alin. (1^1) despre comitetul consultativ pentru dezvăluirea coordonată a vulnerabilităților și art. 365^1 în Codul penal, care exclude răspunderea penală pentru cercetarea de bună-credință a vulnerabilităților.
Ce firme intră sub NIS2?
Intră entitățile mijlocii și mari din sectoarele Anexelor 1 și 2, adică de la 50 de angajați. Cele mari din Anexa 1 sunt esențiale, restul sunt importante. Legea 124/2025 a adăugat farmaciile (CAEN 4773), comerțul farmaceutic cu ridicata (CAEN 4646) și a clarificat distribuția de alimente.
| Anexa | Sectoare |
|---|---|
| Anexa 1: importanță critică ridicată | Energie, Transport, Finanțe, Sănătate, Apă, Digital și servicii IT, Spațiu, administrație publică centrală |
| Anexa 2: alte sectoare critice | Alimente, Producție industrială, Alte sectoare din Anexa 2 |
Ce trebuie să facă o firmă după ce intră sub NIS2?
Firma notifică DNSC în 30 de zile, așteaptă decizia de înscriere (T0), desemnează responsabilul în 30 de zile de la T0, trimite evaluarea nivelului de risc în 60 de zile și autoevaluarea maturității în alte 60 de zile. Autoevaluarea se repetă anual, cu aprobarea conducerii, potrivit art. 12 și 18.
| Ce | Când | Temei |
|---|---|---|
| Notificarea către DNSC | în 30 de zile de la intrarea sub incidența legii | art. 18 alin. (2) |
| Decizia DNSC (T0) | în 60 de zile pentru esențiale, 150 de zile pentru importante | art. 18 alin. (4)–(5) |
| Desemnarea responsabilului cu securitatea | T0 + 30 de zile | art. 14 alin. (3) |
| Evaluarea nivelului de risc | T0 + 60 de zile | art. 18 alin. (6) |
| Autoevaluarea maturității | 60 de zile după evaluarea riscului, apoi anual, cu aprobarea conducerii | art. 18 alin. (7), art. 12 alin. (4) |
| Plan de remediere (doar entități esențiale) | în 30 de zile de la fiecare autoevaluare | art. 12 alin. (5) |
| Cursul acreditat al responsabilului (entități esențiale) | în 12 luni de la desemnare | art. 14 alin. (4) lit. e) |
| Modificarea datelor din registru | în 2 săptămâni sau 3 luni, în funcție de dată | art. 18 alin. (8) |
Notificarea se transmite prin platforma NIS2@RO a DNSC (platformanis2.ro), pe email la evidenta@dnsc.ro sau fizic, conform anexei la Ordinul DNSC 1/2025. Formularul se generează cu instrumentul NIS2@RO. Include și intervalele de adrese IP publice (art. 18 alin. (3)). Se semnează cu semnătură electronică calificată sau olograf pe hârtie.
Cum se stabilește nivelul de risc?
Nivelul de risc rezultă din scorul obținut cu ENIRE@RO sau NIS2@RO, conform metodologiei din Ordinul DNSC 2/2025: 0–99 înseamnă nivelul de Bază, 100–199 nivelul Important, iar 200–1.500 nivelul Esențial. De acest nivel depind controalele aplicabile din Ordinul DNSC 1/2026 și frecvența verificărilor.
Care sunt măsurile minime de securitate?
Art. 13 enumeră zece măsuri: analiza riscurilor, evaluarea eficacității, criptografia, lanțul de aprovizionare, securitatea sistemelor pe tot ciclul de viață, resursele umane și accesul, incidentele, continuitatea și backup-ul, igiena cibernetică și instruirea, autentificarea multifactor. Detaliile sunt în Măsurile aprobate prin Ordinul DNSC 1/2026.
- Politici de analiză a riscurilor și securitatea sistemelor.
- Evaluarea eficacității măsurilor.
- Criptografie și, după caz, criptare.
- Securitatea lanțului de aprovizionare.
- Achiziție, dezvoltare, întreținere și casare în siguranță, inclusiv vulnerabilități.
- Resurse umane, controlul accesului, gestionarea activelor.
- Gestionarea incidentelor.
- Continuitate, copii de rezervă, redresare în caz de dezastru, managementul crizelor.
- Igienă cibernetică și instruire.
- Autentificare multifactor și comunicații securizate.
Ordinul 1/2026 organizează măsurile în șase funcții (Guvernare, Identificare, Protecție, Detecție, Răspuns, Recuperare) și trei niveluri de asigurare. Controalele marcate ca măsuri cheie se tratează cu prioritate.
Ordinul DNSC 1/2026, pe înțeles
Cum se raportează un incident la DNSC?
Un incident semnificativ se raportează în trei pași: avertizare timpurie în 24 de ore, notificare în 72 de ore și raport final în o lună (art. 15). Informația despre impactul transfrontalier se transmite în 6 ore. Prestatorii de servicii de încredere raportează în 24 de ore.
| Etapă | Termen | Temei |
|---|---|---|
| Avertizare timpurie | 24 de ore | art. 15 |
| Notificarea incidentului | 72 de ore | art. 15 |
| Raport final | o lună | art. 15 |
| Informare privind impactul transfrontalier | 6 ore | art. 15 alin. (3) |
Care sunt amenzile NIS2?
Entitățile importante pot fi amendate cu până la 7.000.000 EUR sau 1,4% din cifra de afaceri mondială, iar cele esențiale cu până la 10.000.000 EUR sau 2%, valoarea cea mai mare (art. 60 alin. (2)). Pentru încălcări de procedură limitele sunt mult mai mici, în lei.
| Entitate | Încălcări | Amendă | Temei |
|---|---|---|---|
| Entitate importantă | Măsuri de securitate, audit, autoevaluare, obligațiile conducerii, raportarea incidentelor | de la 5.000 lei la 7.000.000 EUR sau 1,4% din cifra de afaceri mondială, valoarea cea mai mare | art. 60 alin. (2) lit. a) |
| Entitate esențială | Aceleași, plus lit. e) din art. 60 alin. (1) | de la 10.000 lei la 10.000.000 EUR sau 2% din cifra de afaceri mondială, valoarea cea mai mare | art. 60 alin. (2) lit. b) |
| Entitate importantă | Înregistrare, evaluarea riscului, termene de remediere | 1.000–300.000 lei | art. 60 alin. (2) lit. c) |
| Entitate esențială | Aceleași | 1.500–500.000 lei | art. 60 alin. (2) lit. d) |
| Orice entitate | Încălcări grave (art. 50 alin. (2)); limitele cresc cu jumătate la încălcări repetate | 3.000–600.000 lei | art. 60 alin. (2^1) și (4) |
Firmele nou înființate sau fără cifră de afaceri în anul anterior răspund cu 1–50 salarii minime brute (art. 60 alin. (5)). Jumătate din amendă se poate plăti în 15 zile (art. 60 alin. (7)). Termenul de prescripție este de 3 ani (art. 61 alin. (4)).
Ce răspundere are conducerea?
Organele de conducere aprobă măsurile, le supraveghează și răspund pentru încălcări (art. 14 alin. (1)). Membrii lor urmează cursuri acreditate, iar personalul este instruit regulat. Responsabilul cu securitatea se desemnează în 30 de zile de la decizia DNSC. Lipsa desemnării este contravenție (art. 60 alin. (1) lit. k)).
Cine verifică firmele și ce urmează după un control?
DNSC supraveghează, împreună cu autoritățile sectoriale. Auditul de securitate cibernetică îl pot face doar auditori certificați de DNSC (art. 58 alin. (1)), iar frecvența depinde de nivelul de risc. Rezultatele ajung la DNSC în 5 zile, entitatea suportă costul și depune planul de măsuri în 15 zile lucrătoare.
După o notă de constatare DNSC aveți 3 zile pentru un punct de vedere (cel mult 10 zile), apoi 15 zile lucrătoare pentru planul de măsuri (art. 47). ANCOM este autoritate sectorială pentru IXP, centre de date, comunicații electronice și servicii poștale, iar ADR pentru serviciile de încredere (art. 37 alin. (1)). Normele de control sunt în Ordinul DNSC 3/2025.
Unde găsiți detalii pentru domeniul dumneavoastră?
- NIS2 pentru producția și distribuția alimentară
- NIS2 pentru farmacii și distribuitori de medicamente
- NIS2 pentru companiile din energie
- NIS2 pentru firmele IT și pentru instituțiile publice
- Glosarul NIS2 și toate ghidurile
Ce faceți mai departe
Întrebări frecvente
Termenul de notificare a trecut. Ce fac?
Procesul de notificare din anexa la Ordinul DNSC 1/2025 a durat 30 de zile de la publicare. Dacă nu ați notificat, faceți-o acum: legea leagă obligația de momentul în care firma intră sub incidența ei, iar lipsa notificării poate fi sancționată.
Ce este ENIRE@RO?
Este instrumentul DNSC pentru evaluarea nivelului de risc al entității. Scorul obținut, cu ENIRE@RO sau pe platforma NIS2@RO, stabilește nivelul de asigurare: Bază, Important sau Esențial.
Care e diferența dintre NIS2 și ISO 27001?
NIS2 este o obligație legală, iar ISO 27001 un standard voluntar. Un sistem ISO 27001 ajută mult, dar nu înlocuiește notificarea, autoevaluarea sau raportarea incidentelor cerute de OUG 155/2024.
Cine poate fi responsabil NIS2?
Conducerea desemnează responsabilul în 30 de zile de la decizia DNSC (art. 14 alin. (3)). În entitățile esențiale, cu excepția administrației publice și a firmelor mici, persoana are autoritate managerială, raportează direct conducerii, este independentă de IT și obține un curs acreditat în 12 luni.
Trebuie să public cum se raportează vulnerabilitățile?
Da. Entitățile au un proces de gestionare a vulnerabilităților și publică pe site modul de raportare (art. 36 alin. (7)). Un fișier security.txt este un exemplu practic; site-ul acesta are unul.
De când se aplică amenzile?
Prevederile privind amenzile (art. 60–61) se aplică la 30 de zile de la publicarea ordonanței, deci de la sfârșitul lunii ianuarie 2025 (art. 64 alin. (4)).
Surse oficiale
- OUG 155/2024, forma consolidată
- Legea 124/2025
- Legea 123/2026
- Ordinul DNSC 1/2025 (notificare și înregistrare)
- Ordinul DNSC 2/2025 (praguri, nivelul de risc)
- Ordinul DNSC 3/2025 (supraveghere și control)
- Ordinul DNSC 1/2026 (măsuri și autoevaluare)
- Directiva (UE) 2022/2555